Mittel

Products.CMFPlone Open Redirect Vulnerability

Veröffentlicht: 03.01.2018
Aktualisiert: 11.10.2026 14:18

When you visit a page where you need to login, Plone 2.5-5.1rc1 sends you to the login form with a 'came_from' parameter set to the previous url. After you login, you get redirected to the page you tried to view before. An attacker might try to abuse this by letting you click on a specially crafted link. You would login, and get redirected to the site of the attacker, letting you think that you are still on the original Plone site. Or some javascript of the attacker could be executed. Most of these types of attacks are already blocked by Plone, using the isURLInPortal check to make sure we only redirect to a page on the same Plone site. But a few more ways of tricking Plone into accepting a malicious link were discovered, and fixed with this hotfix.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	plone	>= 2.5, < 4.3.16, >= 5, < 5.1.0	4.3.16, 5.1.0
Python (PyPI)	products-cmfplone	< 4.3.17, >= 5.0.0, < 5.0.10, >= 5.1a1, < 5.1.0	4.3.17, 5.0.10, 5.1.0

Verweise

CVSS-Wert 6.1/10

CVSS-Vektor: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Schwäche (CWE): CWE-601
Plattform: Python (PyPI)
Paket: plone, products-cmfplone
Veröffentlicht: 03.01.2018
Aktualisiert: 11.10.2026 14:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2018-70 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8g72-gq68-6gqh - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-2963 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: products-cmfplone

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 7
Erste → letzte: 06.2011 01.2022
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Mittel 7

Veröffentlichungen pro Jahr

2017: 1
2018: 2
2019: 0
2020: 0
2021: 0
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

früher: 3

28.01.2022

Cross-site Scripting and Open Redirect in Products.CMFPlone

Mittel · 4.3 ghsa-8w54-22w9-3g8f < 5.0.0 5.0.0
03.01.2018

Products.CMFPlone Open Redirect Vulnerability dieser Eintrag

Mittel · 6.1 CVE-2017-1000481 < 4.3.17, >= 5.0.0, < 5.0.10, >= 5.1a1, < 5.1.0 4.3.17, 5.0.10, 5.1.0
03.01.2018

Products.CMFPlone XSS in profile home_page property

Mittel · 5.4 CVE-2017-1000482 < 4.3.17, >= 5.0.0, < 5.0.10, >= 5.1a1, < 5.1.0 4.3.17, 5.0.10, 5.1.0
25.09.2017

Plone unauthorized member addition vulnerability

Mittel · 5.9 CVE-2015-7315 >= 3.3.0, < 4.3.7, >= 5.0a1, < 5.0rc2 4.3.7, 5.0rc2
02.05.2014

Products/CMFPlone/CatalogTool.py in Plone 3.3 through 4.3.2 allows remote administrators to bypass restrictions and obtain sensitive information via an unspecified search API.

Mittel · 4.9 CVE-2013-7061 >= 3.3, < 4.3.3 4.3.3
02.05.2014

Products/CMFPlone/FactoryTool.py in Plone 3.3 through 4.3.2 allows remote attackers to obtain the installation path via vectors related to a file object for unspecified documentation which is initiali

Mittel · 5.3 CVE-2013-7060 >= 3.3, < 4.3.3 4.3.3
06.06.2011

Cross-site scripting in Products.CMFPlone and Products.PasswordResetTool

Mittel · 6.1 CVE-2011-1948 < 4.0.7, >= 4.1a1, < 4.1rc3 4.0.7, 4.1rc3

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden